近年來，以Amber Group為代表的全球化加密金融服務(wù)機(jī)構(gòu)頻繁走入主流視野。專業(yè)機(jī)構(gòu)入場(chǎng)為行業(yè)帶來了關(guān)鍵性的服務(wù)升級(jí)，并為增量市場(chǎng)用戶參與加密金融打破了邊界。該業(yè)態(tài)發(fā)展至今，又迎來了“疫情加快流動(dòng)性危機(jī)擴(kuò)散”這樣的特殊背景。目前，全球投資者對(duì)配置加密資產(chǎn)及其衍生品的另類投資表現(xiàn)出更大的熱情，并會(huì)從法律合規(guī)、信息安全、量化能力、企業(yè)規(guī)模等各個(gè)維度篩選優(yōu)質(zhì)的加密金融服務(wù)機(jī)構(gòu)進(jìn)行加密資產(chǎn)投資。由此形成了以更高服務(wù)品質(zhì)為要求的加密金融新生態(tài)。

　　與此同時(shí)，“零信任”作為目前安全領(lǐng)域熱度極高且對(duì)安全體系建設(shè)具有重要指導(dǎo)意義的理念之一，在全球用戶與加密金融機(jī)構(gòu)對(duì)安全地高度重視下，得以快速落地。Amber Group作為全球領(lǐng)先地將計(jì)算機(jī)算法、機(jī)器學(xué)習(xí)等技術(shù)與金融交易結(jié)合的企業(yè)，堅(jiān)持將零信任安全理念應(yīng)用于企業(yè)信息安全防護(hù)建設(shè)之中，確保其所有業(yè)務(wù)的運(yùn)行處在科學(xué)、實(shí)時(shí)地監(jiān)測(cè)和保護(hù)之中。對(duì)此， Amber Group在近期接受媒體采訪時(shí)，結(jié)合自身經(jīng)驗(yàn)就零信任在加密金融機(jī)構(gòu)安全工作中的實(shí)踐進(jìn)行了交流分享。

　　據(jù)了解，Amber Group的信息安全建立在一個(gè)基于傳統(tǒng)安全思路并針對(duì)業(yè)務(wù)的信息安全暴露面加以保護(hù)的縱深防護(hù)體系上，而這個(gè)縱深防御體系的靈魂就是零信任。

　　基于零信任的安全防控原則與安全項(xiàng)目實(shí)施

　　零信任認(rèn)為企業(yè)不應(yīng)自動(dòng)信任內(nèi)部或外部的任何人、事、物，應(yīng)在授權(quán)前通過動(dòng)態(tài)和持續(xù)的身份認(rèn)證和評(píng)估機(jī)制，采用最小特權(quán)訪問策略，嚴(yán)格執(zhí)行訪問控制，提升所有網(wǎng)絡(luò)實(shí)體之間連接的可信關(guān)系。以Amber Group的安全實(shí)踐舉例，當(dāng)企業(yè)領(lǐng)導(dǎo)層提出瀏覽后臺(tái)數(shù)據(jù)，非零信任安全防控下的處理通常是鑒于其身份直接為其調(diào)取數(shù)據(jù)。但在零信任原則下，無論怎樣的身份、角色，都必須經(jīng)過驗(yàn)證流程中的各節(jié)點(diǎn)審批，才能獲得權(quán)限。另一個(gè)角度的例子是，假設(shè)第二天出現(xiàn)與上次同樣的需求，需求方依然必須重新完成驗(yàn)證流程以獲得權(quán)限。對(duì)于上述審批流程，Amber Group借鑒了金融行業(yè)IT風(fēng)險(xiǎn)管理的 “三道防線”，將其分成了三個(gè)工作層級(jí)，分別是授權(quán)崗位、操作崗位和審計(jì)崗位。IT風(fēng)險(xiǎn)管理“三道防線”是指依據(jù)職責(zé)分離原則，在組織內(nèi)部構(gòu)造出三支對(duì)風(fēng)險(xiǎn)管理承擔(dān)不同職責(zé)的團(tuán)隊(duì)，相互之間協(xié)調(diào)配合，分工協(xié)作，并通過獨(dú)立、有效的監(jiān)控，提高組織的IT風(fēng)險(xiǎn)管理有效性。從安全風(fēng)險(xiǎn)組織構(gòu)建的角度來說，三個(gè)層級(jí)分別對(duì)應(yīng)了IT治理、 IT風(fēng)險(xiǎn)管理以及IT審計(jì)，以此為IT風(fēng)險(xiǎn)管理的三道防線。在零信任理念的實(shí)踐上，Amber Group在積極推進(jìn)基于這一理念的特權(quán)賬戶管理(PAM)以及統(tǒng)一身份認(rèn)證管理(IAM)兩個(gè)項(xiàng)目。就特權(quán)賬戶管理來說，相關(guān)人員對(duì)服務(wù)器、數(shù)據(jù)庫(kù)、交易系統(tǒng)等進(jìn)行訪問均需要特權(quán)賬戶密碼。這些賬號(hào)密碼地管理可以大致視為被分散在不同人的手中。但是從零信任的角度不希望任何人掌握這些特權(quán)賬戶的密碼，所以當(dāng)相關(guān)人員需要訪問這些特權(quán)賬戶資源時(shí)，安全系統(tǒng)依據(jù)預(yù)定義好或動(dòng)態(tài)的權(quán)限模型，由機(jī)器賦予其訪問權(quán)限，用戶便可直接進(jìn)行訪問。同時(shí)整個(gè)訪問過程會(huì)被持續(xù)的審計(jì)監(jiān)督，安全系統(tǒng)還會(huì)對(duì)操作中的危險(xiǎn)命令進(jìn)行阻斷。統(tǒng)一身份認(rèn)證管理(IAM)可以簡(jiǎn)單的理解為識(shí)別用戶身份和訪問控制的管理。通過定義誰(shuí)(身份)對(duì)哪些資源具有哪種訪問權(quán)限(角色)來管理訪問權(quán)限控制，是各類IT系統(tǒng)必不可少的基礎(chǔ)安全管理機(jī)制和復(fù)雜云服務(wù)最核心的基礎(chǔ)安全框架，是對(duì)資源提供可控安全的訪問解決方案，也是零信任安全架構(gòu)的核心基礎(chǔ)。通俗點(diǎn)說，在有IAM的情況下，企業(yè)員工僅憑一套用戶名和密碼即可訪問多個(gè)系統(tǒng)，同時(shí)為了確保登錄的安全，針對(duì)不同安全等級(jí)的系統(tǒng)，用戶還需要通過二維碼、手機(jī)動(dòng)態(tài)口令等多種方式進(jìn)行身份驗(yàn)證，提升效率的同時(shí)又能得到安全保障。

　　零信任理念下的跨部門配合與安全工作“左移”

　　安全理念的落實(shí)、安全體系的搭建同樣需要安全與合規(guī)、技術(shù)、產(chǎn)品等各個(gè)方面地密切配合。

　　在與合規(guī)配合方面，信息安全需要為不同地區(qū)的合規(guī)性審查提供信息安全的證據(jù)。同時(shí)，在企業(yè)內(nèi)控方面，也需要配合合規(guī)制定安全合規(guī)流程和員工行為規(guī)范，提供管理上的控制措施。

　　在與技術(shù)研發(fā)和產(chǎn)品配合方面，Amber Group倡導(dǎo)安全工作“左移”。從初期產(chǎn)品需求時(shí)開始介入安全工作，通過既定流程參與需求評(píng)審會(huì)議，提出需求中的安全風(fēng)險(xiǎn)點(diǎn)。當(dāng)需求傳達(dá)到研發(fā)，安全團(tuán)隊(duì)要在該階段配合信息安全相關(guān)需求的埋點(diǎn)，包括認(rèn)證方式、加密方式的設(shè)置等等。同時(shí)，安全團(tuán)隊(duì)還會(huì)在技術(shù)開發(fā)階段提供代碼編寫規(guī)范，并在逐步將工作擴(kuò)展到代碼審計(jì)。產(chǎn)品上線前，安全團(tuán)隊(duì)會(huì)對(duì)代碼進(jìn)行黑盒測(cè)試，以攻擊者的視角探查即將上線的模塊或系統(tǒng)是否存在漏洞和風(fēng)險(xiǎn)。

　　由此，安全滲透到整個(gè)產(chǎn)品的開發(fā)生命周期當(dāng)中。相比于傳統(tǒng)安全強(qiáng)調(diào)的放在“右側(cè)”的保護(hù)，Amber Group更倡導(dǎo)安全左移。通過早期開始在各個(gè)環(huán)節(jié)的介入，總體上降低安全成本，保證系統(tǒng)健康，減少安全漏洞。

　　加密金融服務(wù)機(jī)構(gòu)以市場(chǎng)提出的更高品質(zhì)為要求，引領(lǐng)行業(yè)步入全新生態(tài)。這同時(shí)意味著與高品質(zhì)服務(wù)相關(guān)的金融科技與信息安全等領(lǐng)域也被帶入了全新的拐點(diǎn)。從安全角度看，新生事物走向規(guī)范時(shí)都需要面臨種種安全考驗(yàn)，加密金融也需要在發(fā)展中不斷解決來自安全與風(fēng)險(xiǎn)方面的多重挑戰(zhàn)，才能為廣大用戶創(chuàng)造長(zhǎng)期價(jià)值。